Databricks AI bajo la Ley de IA de la UE: la plataforma no es el sistema
Databricks no tiene nivel de riesgo propio. El sistema de IA que entrenas y publicas se clasifica por uso (art. 6); publicarlo te convierte en proveedor.
Databricks en sí no tiene un nivel de riesgo bajo la Ley de IA de la UE. Lo que construyes sobre él, sí.
Databricks es una plataforma de datos y aprendizaje automático: su herramienta Mosaic AI te permite construir, ajustar, evaluar, desplegar y monitorizar modelos sobre tus propios datos empresariales, y su función Genie permite a los analistas consultar datos estructurados en lenguaje natural. Lo crucial: es una infraestructura sobre la que construyes, no un sistema de IA terminado que alguien te entrega. Bajo el Reglamento (UE) 2024/1689, el objeto regulado es el sistema de IA, clasificado por su finalidad prevista (art. 6), no la plataforma en la nube que hay debajo. Mosaic AI es el taller; lo que fabricas en el taller es lo que la Ley evalúa.
Esa distinción tiene una consecuencia afilada: cuando entrenas un modelo en Databricks y lo publicas bajo tu propio nombre, lo más probable es que seas su proveedor (art. 16), con el conjunto de obligaciones más pesado de la Ley. Esta página separa la plataforma del sistema, nombra los roles y recorre un ejemplo práctico.
Paso uno: clasifica el sistema que construyes, no la herramienta
Usar Databricks para ejecutar análisis, entrenar un modelo interno o dejar que tu equipo consulte datos a través de Genie no conlleva ningún nivel imperativo de la Ley de IA para la plataforma. La cuestión de la clasificación solo se vuelve real cuando preguntas: ¿qué hace realmente el sistema de IA que construí, y para quién?
Aplica el art. 6 a ese sistema:
| Lo que construyes sobre Databricks | Nivel probable |
|---|---|
| Modelo interno de previsión de demanda o de bajas de clientes, sin efecto sobre los derechos de las personas | Mínimo |
| Un chatbot de cara al cliente apoyado en tus datos | Limitado — transparencia del art. 50 |
| Un modelo que criba candidatos a un empleo | Alto riesgo — Anexo III punto 4(a) |
| Un modelo de solvencia / puntuación crediticia | Alto riesgo — Anexo III punto 5(b) |
| Exploración interna de datos mediante Genie | Mínimo |
Un modelo no es de alto riesgo por haberse entrenado en una plataforma potente. Es de alto riesgo solo si su uso aterriza en el Anexo III (o es un componente de seguridad de un producto del Anexo I). La mayoría de los análisis internos y los modelos operativos que no deciden nada sobre los derechos, el acceso a servicios o el empleo de una persona se sitúan en riesgo mínimo, sin obligaciones imperativas más allá de la alfabetización en IA del art. 4 (en vigor desde el 2 de febrero de 2025).
Si el sistema sí aterriza en el Anexo III, ejecuta el filtro del art. 6(3) antes de concluir: un sistema que realiza una tarea procedimental estrecha, o que mejora una actividad humana ya completada sin sustituir el juicio humano, no es de alto riesgo, salvo que elabore perfiles de personas físicas, lo que siempre es de alto riesgo. Documenta el resultado en cualquier sentido.
Paso dos: construir y publicar te convierte en proveedor
Esta es la parte que los fundadores subestiman. Bajo el art. 3(3), un proveedor es quien desarrolla un sistema de IA (o hace que se desarrolle) y lo introduce en el mercado o lo pone en servicio bajo su propio nombre o marca. Entrena un modelo en Databricks, envuélvelo en tu producto y véndelo o despliégalo bajo tu marca: eres el proveedor de ese sistema, con todo el conjunto del art. 16 si el sistema es de alto riesgo:
- Sistema de gestión de riesgos (art. 9)
- Datos y gobernanza de datos (art. 10)
- Documentación técnica (art. 11 / Anexo IV)
- Conservación de registros y registro de actividad (art. 12)
- Transparencia e instrucciones para los responsables del despliegue (art. 13)
- Diseño de la supervisión humana (art. 14)
- Precisión, robustez y ciberseguridad (art. 15)
- Evaluación de la conformidad (art. 43), declaración UE de conformidad (art. 47 / Anexo V) y registro en la base de datos de la UE (art. 49)
También existe un giro en la cadena de valor bajo el art. 25: aunque empezaras usando el sistema de otra persona, poner tu nombre en un sistema de alto riesgo, modificarlo sustancialmente o reorientarlo hacia un uso de alto riesgo te convierte en el proveedor de ese sistema. Ajustar un modelo base en Databricks y publicarlo como tu propio producto es exactamente este escenario.
Una aclaración que evita el pánico: los deberes de GPAI se quedan con el proveedor del modelo. Si tu modelo se construye sobre un modelo fundacional de terceros (por ejemplo, un modelo de pesos abiertos que ajustas), las obligaciones del Capítulo V para ese modelo de IA de uso general —documentación técnica, información para los agentes posteriores, resumen de los datos de entrenamiento (art. 53)— se quedan con el proveedor original del modelo. El ajuste fino puede, en algunos casos, convertirte en proveedor de GPAI para el modelo modificado, pero para la mayoría de quienes construyen aplicaciones el giro relevante es convertirse en proveedor de un sistema de alto riesgo bajo los arts. 16/25, no en proveedor de un modelo GPAI.
Qué debe cada rol
| Rol | Detonante | Deberes centrales |
|---|---|---|
| Responsable del despliegue (art. 26) | Usas un sistema en tus propias operaciones | Usar según las instrucciones, supervisión humana, registro, informar a los trabajadores cuando proceda |
| Proveedor (art. 16) | Construyes y publicas un sistema bajo tu nombre | Conjunto completo de alto riesgo: arts. 9-15, 43, 47, 49 (si Anexo III) |
| Proveedor de modelo GPAI (Capítulo V) | Introduces un modelo de IA de uso general en el mercado | Documentación/resumen del art. 53; art. 55 si hay riesgo sistémico |
Para la mayoría de las empresas que construyen sobre Databricks, el resultado realista es: responsable del despliegue para las herramientas internas, y proveedor para todo lo que envíes a clientes. La capa de GPAI suele pertenecer a quien fabricó el modelo base sobre el que entrenaste.
El plazo
Si el sistema que construyes y publicas es de alto riesgo autónomo del Anexo III, las obligaciones aplican desde el 2 de diciembre de 2027 bajo el aplazamiento del Ómnibus Digital, ya adoptado: tras el acuerdo político del Parlamento y el Consejo en mayo de 2026, el Parlamento lo votó en el pleno el 16 de junio de 2026 y el Consejo lo adoptó formalmente el 29 de junio de 2026, sustituyendo la fecha original del 2 de agosto de 2026. Solo falta su publicación en el Diario Oficial, prevista antes de esa misma fecha; el 2 de diciembre de 2027 es ya la fecha de referencia. (Los sistemas de alto riesgo incrustados como componentes de seguridad de productos del Anexo I llegan hasta el 2 de agosto de 2028.) La alfabetización del art. 4 y las prohibiciones del art. 5 ya están en vigor en cualquier caso.
Ejemplo práctico: Lumen Analytics GmbH
Lumen Analytics GmbH, una empresa alemana de productos de datos con ~95 empleados y ~18 M€ de facturación, usa Databricks en tres flujos de trabajo:
- Genie para BI interno — sus analistas consultan el almacén de datos en lenguaje natural. El sistema de IA aquí solo expone los datos estructurados de la propia empresa a su propio personal: riesgo mínimo, sin obligación imperativa más allá de la alfabetización del art. 4.
- Un modelo interno de predicción de bajas de clientes entrenado con Mosaic AI para señalar cuentas en riesgo al equipo de éxito de clientes: afecta a la priorización interna, no a los derechos de las personas ni al acceso a servicios: riesgo mínimo.
- Un modelo de preselección para contratación que Lumen entrena en Databricks y envía dentro de su propio producto SaaS de RR. HH. bajo la marca Lumen: este es el decisivo. El uso es el Anexo III punto 4(a) (selección de candidatos), así que el sistema es de alto riesgo; y como Lumen lo introduce en el mercado bajo su propio nombre, Lumen es el proveedor (art. 16), y debe todo el conjunto de los arts. 9-15 más la evaluación de la conformidad (art. 43), la declaración de conformidad (art. 47) y el registro (art. 49). Los deberes de GPAI del modelo base se quedan con el proveedor de ese modelo; los deberes de Lumen son sobre el sistema que envió. Plazo: 2 de diciembre de 2027 (el aplazamiento del Ómnibus Digital ya está adoptado, pendiente solo de publicación en el Diario Oficial).
La misma plataforma, tres veredictos muy distintos, fijados por completo por lo que hace cada sistema y de quién es el nombre que lleva.
Cómo ayuda Confir
Registra por separado cada sistema de IA que construyes sobre Databricks —no "Databricks" como una sola línea— y el motor basado en reglas de Confir clasifica cada uno por su finalidad prevista y deriva tu rol (responsable del despliegue, o proveedor por el giro del art. 25). Para un modelo interno devuelve una breve lista de comprobación de riesgo mínimo; para un sistema enviado del Anexo III genera el conjunto de obligaciones del proveedor y el andamiaje de documentación del art. 11 / Anexo IV. La lógica es determinista: la misma entrada, el mismo hallazgo, con la regla que se activó mostrada en lenguaje claro.
Guías relacionadas
- Clasificación de alto riesgo del art. 6
- Responsabilidades en la cadena de valor del art. 25
- Obligaciones del proveedor bajo el art. 16
- Proveedor frente a responsable del despliegue, explicado
- Obligaciones de GPAI bajo la Ley
- ¿Es mi IA de alto riesgo?
- Gestión del inventario de sistemas de IA
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →